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Die folgenden Angaben sind den vom Anmelder eingereichten Unterlagen entnommen 

@ Relationales Speicher- und Datenverarbeitungssystem 

@ Die vorliegende Erfindung lehrt ein Computersystem 
mit mindestens einem Speicher, der zumindest teilweise 
nach Art eines semantischen Netzes organisiert ist, mit 
Datenobjekten (1, 7-10, 12, 18, 19, 15) und Relationen (3-6, 
11, 13, 20, 21), wobei das System erfindungsgemafc da- 
durch gekennzeichnet ist, daft Speicherplatz fur Relatio- 
nen, welche Relationen-Relationen (14, 16, 24) genannt 
werden, vorgesehen ist, wobei je Relationen-Relationen 
(14, 16, 24) mindestens jeweils die Information explizit 
Oder auch implizit vorhanden ist, welche angibt, zwischen 
welchem jeweiligen Datenobjekt und welcher jeweiligen 
Relation, oder zwischen welcher jeweiligen Relation und 
welcher weiteren jeweiligen Relation die Relationen-Rela- 
tion besteht, wobei auch Relationen-Relationen zwischen 
Relationen-Relationen bzw. zwischen Relationen-Relatio- 
nen und Datenobjekten bestehen konnen und daruber 
hinaus Verfahren zur Ausfuhrung auf einem solchem Sy- 
stem wie des weiteren vorteilhafte Verwendungen eines 
* ebensolchem. 
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Beschreibung 

Mc ^» _ — asajSKssSBs: tsasss 

8 Temantische Netze ermoglichen es Datenobjekte im ^J*™^ wwthtt i«. so zu speichem, daB ,hre Abspei- 
Reihe besonders vorteilhafter Verfahren entwickel^ *e « «^™^ und zu verarb eiten. 

auf La^geWeisebesonderseffirient undvorteilhaft ^™ e ^ n n d G hen> ^ aiigemeinere Representation von 
InXsondere eignen sich Standardalgonthmen zw ^JTsS* s^eWa ein T.efcnsucheverfahren (depth-first-search) 

L 1QQQ *Afy\-AH 472-475) bekannt. . . Pm1 . lpn . besonders schnelle Verfahren und 

^S^SSSKS^^ - «T isidon von Fakten aus der realen WeU " 

lunX den Objekten und Reladonen eines semandscher. Ne^to beS chaftigen sich mil der 

MeJden und Systeme stehen bier ™r h *£J^S2Lcta, Netz oder aber nut seiner Ruckge- 

Aquirierung und geeigneten Hinterlegung von Wi se n ^J^^LiUiKhen Netzes und damit auch ernes Speichers 
i^ung fifr die jeweilige Aufgabe. Jr-nJ^Jg ^hnik nicht in Frage gestellt, obschon in dl eser Struk- 
der dieses Netz jeweilig technisch verkorpert wd ™ ™ bU . Nachtei i e begrundet liegen. 

40 unterstutzen. Vprfiimine stehender Verfahren bearbeitbar sein. 

mationenzuhinterlegen. in d h daB ^ mformationen moglichst effizient in ihr hinterlegt werden 

- Die Speicherstruktur sollte kompakt sein, a. n. 

. . . . . hesond ere Probleme mit herkommlichen aus dem Stand der 

jib tan di« i» itmuuischm N«tz*» to 1 ""^*' ' ™ £Xj ein.t *>M«o AbMngigteii -teheo Bd* 
S".Tn.TLl«iou „«b to Ad « .»>"«» «- . »™ *"£ m! bton kondidon.ta.Ab. 

sten* gegeben, worin ein erstes Computersyslem M *^,^2£E*ent. Das Lagekontrollsysten, we* wettere 
s^mteFunkuonenerfum 

S^diezuseinerFunktionerford^ elwa eine wunschenswerte aber 

tdr^^^^~ Sm dem NotfaUe - daB das ers,e pu,ersy 
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springt das zweite Comput^^^em, welches im Normaibetrieb nur unkritische Aufgabl^Pchrnimmt als Reservesystem 
fur das erste Com putersys tern ein und ubernimmt dessen Aufgaben. Somit ubernimmt es dann auch die Ansteuerung des 
Lagekontrollsys terns. Will man die in diescm Sachverhalt enthaltcnen Informationcn in einem Speicher hinicrlcgcn, der 
seiner Struktur nach einem herkommlichen semantischen Netz entspricht, so muB man das Lagekontrollsystem klinstlich 
aufteilen, indem man ein Lagekontrollsystem fiir den Normaibetrieb und eines fur den Notbetrieb als Datenobjekt spei- 5 
chert und eine Relation vom ersten Computersystem auf das Lagekontrollsystem fiir Normaibetrieb und eine weitere Re- 
lation vom zwciten Computersystem auf das Lagekontrollsystem fiir Notbetrieb im Speicher vermcrkt, obgleich es sich 
um dasselbe Lagekontrollsystem handelt. Diese kiinstliche Aufteilung ist erforderlich um in dem nach den Strukturen ei- 
nes herkommlichen semantischen Netzes aufgebauten Speicher alle relevanten Informationen, insbesondere die Infor- 
mation dariiber in welcher Phase, namlich Normaibetrieb oder Notbetrieb, welches Computersystem, namlich das erste 10 
oder das zweite das Lagekontrollsystem ansteuert. Es ist also notwendig das Lagekontrollsystem in zwei Untersysteme 
fiir jede relevante Phase aufzuteilen und zu diesem Zwecke zu duplizieren. Ebenso miissen natiirlich auch die vom La- 
gekontrollsystem verwendeten Subsysteme auch je einmal fiir beide kunstlich geschaffenen Lagekontrollsysteme abge- 
speichert werden, somit auch deren evtl. Sub-Subsysteme und so fort. Dies fuhrt zu einer enonnen Speicherplatzaufbla- 
hung schon in einfachen Fallen, was in der Praxis zur Folge hat, das derartige Verhaltnisse, zumindest was komplexere 15 
Systemstrukturen anbelangt nicht mehr implementierbar sind. Dies gilt nicht nur im Hinblick auf den Speicherplatzbe- 
darf, sondern auch im Hinblick auf die Ersteilung, Pflege und Oberblickbarkeit des im Einzelfall konkret verwendeten 
Datenmodells. Betreffend weitere Details dieses Beispiels sei auf die Figurenbeschreibung zu Fig. 2 verwiesen.. . 

Auf der anderen Seite besteht, wie an dem oben angefuhrten Beispiel klar wird jedoch durchaus ein Wunsch zur Mo- 
dellierung derartiger real vorhandener Systeme in Speichem von Rechnersystemen. Insbesondere gilt dies im Hinblick 20 
auf die Funktionsmodellierung komplexer technischer Systeme, aber auch etwa fiir die technische Modellierung von Ge- 
schaftsprozessen. Daruberhinaus stellen semantische Netze, und somit auch ihre technische Realisierung in einem ent- 
sprechend organisierten Speicher, wie die Erfahrung gezeigt hat, grundsatzlich der Richtung nach einen richtigen und ef- 
fektiven Ansatz zur informationstechnischen Modellierung und Beschreibung real vorhandener komplexer Systeme. 

Daher ist es Aufgabe der vorliegenden Erfindung Speichervorrichtungen anzugeben, die die ihrem Aufbau nach der 25 
Grundstruktur bekannter semantischer Netze folgen, diese strukturell jedoch so erweitern, daB es moglich ist, Beziehun- 
gen einzelner Datenobjekte zu anderen Datenobjekten abzuspeichern, wobei diese Beziehungen unter der Kondition des 
Vorhandenseins anderer Beziehungen stehen konnen, ohne daB es zu einer unvertretbaren Aufblahung der Anzahl der er- 
forderlichen Datenobjekte und damit auch des Speicherbedarfs kommt und hierfur geeignete Verfahren zu ihrer Verar- 
beitung in diesem Speicher anzugeben. 30 

Dies wird erfindungsgemaB gelost durch ein Computersystem mit mindestens einem Speicher, der zumindest teilweise 
nach Art eines semantischen Netzes organisiert ist, wobei er Speicherplatze aufweist fiir Datenobjekte, und fur Relatio- 
nen, wobei je Relation mindestens jeweils die Information explizit oder auch implizit vorhanden ist, welche angibt, zwi- 
schen welchen jeweiligen Datenobjekten die Relation besteht, und das Computersystem erfindungsgemaB dadurch ge- 
kennzeichnet ist, daB desweiteren Speicherplatz fur weitere Relationen, welche Relationen-Relationen genannt werden, 35 
vorgesehen ist, wobei je Relationen-Relationen mindestens jeweils die Information explizit oder auch implizit vorhanden 
ist, welche angibt zwischen welc hem jeweiligen Datenobjekt und welcher jeweiligen Relation, oder zwischen welcher 
jeweiligen Relation und welcher weiteren jeweiligen Relation die Relationen-Relation besteht, wobei auch Relationen- 
Relationen zwischen Relationen-Relationen bzw. zwischen Relationen-Relationen und Datenobjekten bestehen konnen. 

Hieran wird deutlich, daB Relationen-Relationen im Sinne der vorliegenden Erfindung nur ein Spezialfall von Relatio- 40 
nen sind, die jedoch die Ausdrucksmoglichkeiten semantischer Netzspeichermodelle entscheidend verbessem. 

Vorzugsweise kann je Relation oder Relationen-Relationen auch jeweils die Information explizit oder auch implizit 
vorhanden sein, die angibt, in welche Richtung die jeweilige Relation oder Relation-Relation besteht. 

Je gerichteter Relation oder gerichteter Relationen-Relation kann dabei auch jeweils die Information explizit oder 
auch implizit vorhanden sein, die angibt, ob die jeweilige Relation oder Relation-Relation eine dominante oder eine in- 45 
verse Relation bzw. Relationen-Relation ist. 

Des weiteren dient zur Losung der Aufgabe der Erfindung ein Verfahren zur Durchfiihrung auf einem wie vorstehend 
beschriebenen Computersystem zur Ermittlung der mit einem Datenobjekt direkt und indirekt verbundenen Relationen 
und Datenobjekten, wobei das zu durchsuchende semantische Netzwerk ausgehend von einem Start-Datenobjekt ent- 
sprechend einer rekursiven Tiefensuche (depth- first-search- Verfahren) entlang der, wahrend der Durchfuhrung des Ver- 50 
fahrens aufgefunden Relationen durchsucht wird und die hierbei rekursiv aufgefundenen Relationen und Datenobjekte 
im Speicher in einer Ergebnisdatenstruktur, vorzugsweise einer Liste festgehalten werden, das erfindungsgemaB dadurch 
gekennzeichnet ist, daB auch entlang der in dem Netz aufgefundenen Relationen-Relationen rekursiv weitergesucht wird. 

Vorzugsweise ist das Verfahren dabei erfindungsgemaB dadurch gekennzeichnet, daB wahrend der Tiefensuche in dem 
sematischen Netzwerk eine Suchrestriktion vorgesehen ist, die entsprechend einer gewahlten Strategic eine Einschran- 55 
kung des Suchraumes vornimmt. 

Dabei kann die Suchrestriktion so ausgestaltet sein, daB Relationen die von Relationen ausgehen nicht weiter in der 
Tiefensuche verfolgt werden. 

In einer bevorzugten Ausfuhrungsform ist das erfindungsgemaBe Verfahren dadurch gekennzeichnet, daB die Suchre- 
striktion zusatzlich so ausgestaltet ist, daB nicht iiber aufgefundene Datenobjekte in die Tiefe hinweggesucht wird. 60 

Vorzugsweise ist das Computersystem nach der vorliegenden Erfindung erfindungsgemaB dadurch gekennzeichnet, 
daB je Datenobjekt auch jeweils eine Hierarchienformation explizit oder auch implizit vorhanden ist, welche angibt, auf 
welcher Position der Hierarchieebene das Datenobjekt in einer Datenobjekthierarchie steht. 

Dabei kann das erfindungsgemaBe Verfahren zur Durchfuhrung auf einem wie zuletzt vorstehend beschriebenen Com- 
putersystem dadurch gekennzeichnet sein, daB die Suchrestriktion zusatzlich so ausgestaltet ist, daB Datenobjekte ab be- 65 
stimmten, vor Start der Suche festgelegter Positionen in der Datenobjekthierarchie inklusive aller hiermit verbundenen 
Relationen nicht mit in die Suche einbezogen werden. 

Es kann ebenfalls erfindungsgemaB dadurch gekennzeichnet sein, daB die wahrend der Suche ermittelten Datenobjekte 
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den Erfindung, notierl in Pseudocodedarstellung angegeben: 
5 Datenobjekt.FindAUWithContext (fromltem, what, excllist, level) 

Eingangsparameter:fromItem als Start-Datenobjekt 

what Position in der Datenobjekthierarchie ab der die 

l0 aufgefundenen Datenobjekte als Bestandteil des 

Ergebnisses Berucksichtigung finden 
excllist Positionen ab denen in der Datenobjekduerarchie, 
Datenobjekte inklusive aller hiermit verbundenen 
Relationen vor Start der Suche als schon besucht 



15 



20 



25 



30 



markiert werden 

(Diese Datenobjekte werden also in der nachfolgenden 

Tiefensuche nicht besucht.) 
leve 1 Suchrestriktionsstrategie 
Maduere die Datenobjekte und Relationen gemafl excllist als besucht. 
Ermittele alle Relarionen die mit dexn f r oml tem verbunden sind. 

BMe aus den Ergebnissen diese, Funktionsaufrufe die Ve-inigungstnenge. Diese ist das Funktionse, 
^sche in alien Datenobjekten und Relationen des gesatnten Netzes die "besucht" Markietung. 
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|h.InternaLFindAIiWthContext(relation, fromltem, wtil 
Wenn relation noch nicht bearbeitet wurde dann 



Wenn relation eine inverse Relation ist setze relation auf die zugehorige dominante Rela- 

tion. 5 

Markiere relation als besucht 

Ermittele relationsursprung 

Wenn relationsursprung nicht fromltem ist dann 10 

Rufe je nach Objekttyp von relationsursprung (Datenobjekt oder Relation) 
entweder 

Datenobjekt.IntemalFincL\llWithContext 

(relationsursprung, relation, what, level) 15 

oder 

Relation.InternalFindAUWithContext 

(relationsursprung, relation, what, level) 
auf und merke Ergebnis. 

Ermittele relationsziel 

Wenn relationsziel nicht fromltem ist dann 



Ermittele die Relationen die von relation ausgehen und wende auf jede relationx 
der Liste Relation.IntemalFincL\llV&'ithContext(r e 1 a t i o n i , relation, wh at, 
level) an. Bilde jeweils die Vereinigungsmenge aus dem Funktionsergebnis und dem 
bisherigen Ergebnis. 



20 



25 



Rufe je nach Objekttyp von relationsziel (Datenobjekt oder Relation) entweder 
Datenobjekt.IntemalFind.\lIWithContext 

(relationsziel, relation, what, level) 

oder 

Relation.IntemalFmdAUWithContext 

(relationsziel, relation, what, level) 30 
auf und bilde die Vereinigungsmenge aus dem Funktionsergebnis und dem bisherigen Er- 
gebnis. 

Wenn level (Suchrestriktionss trategie) RELATIONEN-REJL\TIONEN-HIN WEG-SUCHE 
oder ALLES ist (Suche umfaBt auch Relationen auf Relationen) dann 



35 



40 



Gebe Ergebnis zuriick. 

Datenobjekt JntemalFindAllWithContext (datenobjekt, fromltem, what, level) 
Wenn datenob j ekt noch nicht bearbeitet wurde dann 
Markiere datenobjekt als bearbeitet 

Wenn date nob j ekt Teil des Suchkontexts (what) ist fuge es dem Ergebnis hinzu. 

Wenn level ALLES ist (Es wird iiber Knoten hinweg gesucht) dann 

Ermittele alle mit dem dat enobj ekt verkniipfte Relationen und wende auf jede rela- 
t ioni der Liste Relation.InternalFincL\BWithContext(relationi f datenob j ekt , 
what, level) an. Bilde jeweils die Vereinigungsmenge aus dem Funktionsergebnis und 
dem bisherigen Ergebnis. 

Gebe Ergebnis zuriick. 

Eine weitere besonders bevorzugte Ausfuhrungsform eines Computersystem nach der vorliegenden Erfindung ist da- 
durch gekennzeichnet, daB je Relation bzw. Relationen-Relation auch jeweils eine Hierarchieinformation explizit oder 60 
auch implizit vorhanden ist, welche angibt, auf welcher Position der Hierarchieebene die Relation bzw. Relationen-Re- 
lation in einer Relationenhierarchie steht. 

Die Hierarchieinformationen iiber die Datenobjekte oder Relationen konnen etwa explizit iiber ein jeweils zugeordne- 
tes Datenfeld ini Speichcr abgelegt sein. Eine mogliche Alternative besteht aber auch darin, daB die Datenobjekte oder 
Relationen in einer festen Hierarchie zueinander stehen oder aber, daB eine getrennt von dem eigentlichen semantischen 65 
Netz hinterlegte Hierarchiedatenstruktur vorhanden ist, die es erlaubt im konkreten Fall jeweils die Hierarchieposition 
eines Datenobjektes oder einer Relation zu ermitteln. Es sind jedoch dariiberhinaus auch noch weitere Mdglichkeiten 
vorstellbar. 
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Auf einem soichen ComPBKystem kann ein weiteres erfindungsgemaBes Verfahren^^BBurchfuhrung gelangen, das 
zur Ermittlung aller Relationen, die von einem Element einer Ursprungsmenge (Relation oder Datenobjekt) zu einem 
Element einer Zielmenge (Relation oder Datenobjekt) fuhrcn, wobei als Einschrankung nur die Relationen ab einer be- 
stimmten Position in der Relationenhierarchie berucksichtigt werden und die Ursprungsmenge bzw. die Zielmenge dabei 
5 entweder ein einzelnes Datenobjekt oder eine einzelne Relation oder alle Datenobjekte ab einer bestimmten Position in 
der Datenobjekthierarchie oder alle Relationen ab einer bestimmten Position in der Relationenhierarchie oder alle Daten- 
objekte und Relationen des semalischen Netzes oder eine rekursive Spezifikauon einer Menge von Relationen, die sich 
durch Anwendung des hier verwendeten Verfahrens ergibt als Elemente enthalten kann. 

Beispielhaft sei auch hier ein bevorzugtes Ausfuhrungsbeispiel dieses weiteren vorstehenden Verfahrens nach der vor- 
10 licgenden Erfindung, ebenfalls notiert in Pseudocodedarstellung angegeben: 

Geltems(parametern) 

Eingangsparameter. 

15 

Der Parameter dieser Funktion ist entweder ein einzelnes Datenobjekt oder eine einzelne Relation oder 
eine Position in der Datenobjekthierarchie oder eine Position in der Relationshierarchie oder ALL oder eine 
Liste. 

20 Ist der Parameter keine liste, so werden alle Objekte (Relationen oder Datenobjekte) aus der entsprechen- 
den Hierarchie ab der Position, bzw. im Falle von ALL alle Datenobjekte und Relationen des semantischen 
Netzes als Funktionsergebnis geliefert 

Im Falle einer Liste besteht sie aus den Elementen from, relation und to. Sowohl from als auch to 
25 konnen wieder eine liste der selben Struktur sein. Dadurch ergibt sich die Mdglichkeit der rekursiven Defi- 
nition der Struktur einer Anfrage. 



Wenn Parameter ein Liste dann 

30 

Wende GetltemsO rekursiv auf from an. Ergibt f romlist. 
Wende GetltemsO rekursiv auf to an. Ergibt tolist. 

Bilde Relationsliste bestehend aus alien Relationen ab der Position von relation in der Rela- 
35 tionshierarchie. Ergibt relationlist. 

Bilde Ergebnis der Funktion bestehend aus alien Relationen aus relationlist welche Ele- 
mente von f romlist und tolist verbinden. 

andemfalls 

40 

Gebe alle Objekte (Relationen oder Datenobjekte) aus der entsprechenden Hierarchie ab der Posi- 
tion, bzw. im Falle von .ALL alle Datenobjekte und Relationen des semantischen Netzes als Funk- 
tionsergebnis zuriick. 

45 

ZweckmaBigerweise werden noch Hilfsfunktionen, wie solche zur Erzeugung, zum Loschen, zum Umbenennen und 
zum Auffinden von Netzwerkobjekten unter ihrem Namen zur Verfugung gestellt. Deren Realisierung ist jedoch recht 
einfach und bedarf daher hier keiner weiteren Erwahnung. 

Des weiteren bietet sich ein objektorientierter Ansatz zur Realisierung der erfindungsgemaBen Systeme und Verfahren 
50 an. So erscheint beispielsweise eine Realisierung unter Verwendung der Programmiersprache KappaProTalk als beson- 
ders vorteilhaft. 

Die erfindungsgemaBen Verfahren auf den entsprechenden erfindungsgemaBen Computersystemen konnen dabei mit 
zur Sicherheitsanalyse technischer Systeme, vorzugsweise der Gefahrenanalyse, Fehlermoglichkeits-, Fehlerauswir- 
kungs- und Fehlerrelevanzanalyse in soichen technischen Systemen, wie etwa Raketensystemen, chemischen Anlagen, 
55 Flugzeugen und dergleichen mehr verwendet werden. 

Wie technische Sicherheitsanalysesysteme sich von ihrer Funktionalitat her darstellen, ist in FRISCH et al. (Frisch, B,, 
Preyssl, C, Stolle, E, Propabilistic Safety Analysis using ERES, the ESA RAMS Expert System, Proceedings of ESA 
1996 Product Assurance Symposium and Software Products Assurance Workshop, ESA/ESTEC, Nordwijj, Niederiande 
1996) beschrieben. Auf die informationstechnische Problematik der rechnerinternen Realisierung durch eine vorteilhafte 
60 Speicherorganisation und die hierzu gehorigen Verarbeitungsverfahren wird jedoch in dieser Publikation, welche hiermit 
ausdriicklich in ihrem Offenbarungsgehalt miteinbezogen wird nicht eingegangen. 

Hier hat es sich uberraschenderweise erwiesen, daB es mit Hilfe der vorgestellten erfindungsgemaBen Ausgestaltung 
semantischer Netze moglich ist, technische Systeme entsprechend ihrer, fur eine Sicherheitsanalyse notwendigen 
Aspekte informationstechnisch besonders vorteilhaft, d. h. insbesondere speicherplatzsparend, zu modellieren und auch 
65 mit Hilfe der erfindungsgemaBen, hier vorgestellten Verfahren besonders efnzient zu verarbeiten. 

Die Datenobjekte in einem nach der vorliegenden Erfindung strukturierten Speicher konnen dabei vorzugsweise Ob- 
jekte wie 

Gefahren, generische Gefahren, Systemelemente, Funktionen, Phasen, Zonen, Szenarien, auslosende Ereignisse, uner- 
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wiinschte Effekte, Folgen;^J^n auf Systeniebene, generische Folgen, Kategorie des'^JJJs der Auswirkungen, Reak- 
tionszeiten, beobachtbare Symptome, Propagierung, Propagierungszeiten von Szenarien, Propagierungs Typen, Dauer, 
scin. 

Als Relationen werden in derartigen Systemen vorzugsweise etwa Relationen wie 
Systemelement weist eine Gefahr auf, Funktion weist eine Gefahr auf, Systemelement hat als auslosendes Ereignis, 5 
Funktion hat als auslosendes Ereignis, Gefahr hat als auslosendes Ereignis, fuhrt zu unerwiinschtem Ereignis, hat zur 
Folgc, hat als ein beobachtbares Symptom, hat als Reaktionszeit, hat als Kategorie des Grades der Auswirkungcn, wird 
mittels Propagierung ubertragen, hat als Propagierungs Typ, hat als Szenario Propagierungszeit, Szenario weist als Sy- 
stemelementfunktion auf, Szenario weist als Systemelement auf und Szenario weist als Gefahr auf 

verwendet. Insbesondere hat sich der Ansatz auch Relationen-Relationen entsprechend der vorlicgenden Erfindung zu 10 
verwenden im Hinblick auf die hier in Rede stehenden Sicherheitsanalysesysteme als besonders fruchtbar erwiesen. 
Diese Relationen-Relationen erlauben Modelle mit n-dimensionalen Matrizen, vorzugsweise solche mit vier Dimensio- 
ned Insgesamt gesehen reduzieret die Verwendung von Relationen-Relationen die Anzahi der zur informationstechni- 
schen Modellierung des technischen Systems notigen Relationen und optimiert den "Pathtracking-" und "Backtrak- 
king'-Aufwand der in derartigen Sicherheitsanalysesystemen verwendeten Verfahren nach der vorliegenden Erfindung. is 

Als Relationen-Relationen werden dabei vorzugsweise folgende Relationen verwendet: 
wird verwendet in Phase, riihrt her von, ist in Zone und fuhrt zu. 

Auch ist eine Verwendung zur Durchfuhrung von Risikoanalysen im Falle von Versicherungsrisiken vorgesehen. Ins- 
besondere gilt dies fur solche Riskikoanalysen, die die Versicherung technisch komplexer Systeme betreffen. Hier wer- 
den dann bestimmten Schadensszenarien Eintrittswahrscheiniichkeiten und entsprechende kommerzielle Parameter, wie 20 
etwa die Kosten solcher moglicher Schaden zugeordnet, was eine technisch gestutzte Analyse des kommerziellen Risi- 
kos ermoglicht. 

Auch kann ein System nach der vorliegenden Erfindung zur Modellierung und Analyse von Geschaftsprozessen ein- 
gesetzt werden. 

Im folgenden werden nicht einschrankend zu verstehende Ausfuhrungsbeispiele anhand der Zeichnung besprochen. In 25 
dieser zeigen: 

Fig. 1 ein semantisches Netzwerk, daB von den erfindungsgemaBen Relationen-Relationen Gebrauch macht, 

Fig. 2 das semantische Netzwerk entsprechend Fig. 1 ohne die erfindungsgemaBen Relationen-Relationen, 

Fig. 3 eine schematische Darstellung der Funktionsweise des Verfahrens zur Ermittlung der mit einem Datenobjekt di- 

rekt und indirekt verbundenen Relationen und Datenobjekte in einer Ausfuhrungsform in der keine Suchrestriktion vor- 30 

gesehen ist, 

Fig. 4 eine schematische Darstellung der Funktionsweise des Verfahrens zur Ermittlung der mit einem Datenobjekt di- - 
rekt und indirekt verbundenen Relationen und Datenobjekte in einer Ausfuhrungsform, in der eine Suchrestriktion wah- 
rend der Tiefensuche in dem sematischen Netzwerk vorgesehen ist, die so ausgestaltet ist, daB Relationen die von Rela- " 
tionen ausgehen nicht weiter in der Tiefensuche verfolgt werden, , 35 

Fig. 5 eine schematische Darstellung der Funktionsweise des Verfahrens zur Ermittlung der mit einem Datenobjekt di- 
rekt und indirekt verbundenen Relationen und Datenobjekte in einer Ausfuhrungsform, in der eine Suchrestriktion wah- 
rend der Tiefensuche in dem sematischen Netzwerk vorgesehen ist, die so ausgestaltet ist, daB Relationen die von Rela- 
tionen ausgehen nicht weiter in der Tiefensuche verfolgt werden und daruber hinaus nicht iiber Knoten hinweggesucht 
wird, 40 

Fig. 6 eine schematische Darstellung eines nach der vorliegenden Erfindung organisierten Speichers in Form eines se- 
matischen Netzes mit Relationen-Relationen zur Verwendung in einem technischen Sicherheitsanalysesystem, und 

Fig. 7 bis Fig. 21 schematische Darstellungen von nach der vorliegenden Erfindung organisierten Computersystemen 
mit Speicher fur sematische Netze zur naheren Erlauterung der Verwendung der erfindungsgemaBen Computersysteme 
und Verfahren zum Zwecke der Risikoanalyse von Versicherungsrisiken, insbesondere technischen Versicherungsrisi- 45 
ken, d. h. solchen Versicherungsrisiken, die sich aus der Versicherung technischer Anlagen, Maschinen, Gerate, Pro- 
zesse, Verfahrensweisen etc. ergeben, im einzelnen zeigen hierbei 

Fig. 7 einen Ereignispfad, 

Fig. 8 einen Konsequenz Baum, 

Fig. 9 eine Darstellung im Konsequenz-Baum, in der ein Startereignis 1 und ein Folgeereignis 2.1 in mehreren Szena- 50 
rien verwendet werden, 

Fig. 10 eine Darstellung im Konsequenz-Baum, in der ein Startereignis 1 und ein Folgeereignis 2.1 in mehreren Sze- 
narien verwendet werden, wobei die Darstellung redundanzfrei im Modell erfolgt, 

Fig. 11 einen kompositorischen Aufbau eines Untemehmens (nach technischen Einheiten gegliedert) als Teil der Sy- 
stembeschreibung, 55 

Fig. 12 einen kompositorischen Aufbau der Funktion eines Untemehmens (auf technischen Funktionen zuriickge- 
fuhrt) als Teil der Systembeschreibung, 

Fig. 13 eine Zuordnung von Funktionen zu Systemelementen, 

Fig. 14 eine Zuordnung einer Zeitphase zu Systemelement und Funktion, 

Fig. 15 eine Zuordnung eines Ortes zu Systemelement, Funktion und Zeitphase, 60 
Fig. 16 eine Verbindung zwischen deterministischen Modell (Folgeereignis 1.1) und Systembeschreibung, 
Fig. 17 eine Verbindung zwischen deterministischem Modell (Feuer) und Systembeschreibung, 
Fig. 1 8 funktionale Abhangigkeiten entlang des kompositorischen Aufbaus, 

Fig. 19 eine Zusammenfassung von Tcilcn des Modells zur Systembeschreibung zu einem Gefahrenkomplex, 
Fig. 20 eine Zuordnung von Szenarien zu einem Gefahrenkomplex, und 65 
Fig. 21 eine Reduzierung bzw. Kontrolle eines Gefahrenkomplexes durch eine risikovermindernde/risikovermeidende 
MaBnahme. 

Fig. 1 zeigt ein semantisches Netzwerk, daB von den erfindungsgemaBen Relationen-Relationen Gebrauch macht. Da- 
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tenobjekte sind hier rundliSIRationen jedoch rechteckig und mit Pfeilen dargestellt.^BP ein Teil eines eines Rake- 
tensystems gegeben, worin ein erstes Computersystem 1 enthalten ist, welches im Normalbetrieb des Raketensystems 
besuimritc Funktionen crfullt und sich hierbei eines LagekontroUsystems 2 bcdient. Es besteht somil cine RelaLion "ver- 
wendet" 3 zwischen dem ersten Computer 1 und dem Lagekontrollsystem 2. Vom Lagekontrollsystem 2 fiihren drei wei- 
5 tere Relationen "verwendet" 4, 5 und 6 zu Subsystemen wie Steuerdiisen 7, Boostem 8 und Klappen 9, die zur Funktion 
des LagekontroUsystems 2 erforderlich sind. Desweiteren existiert ein zweites Computersystem 10, welches nicht-kriti- 
sche Aufgaben des Raketensystems, etwa eine wunschenswerte, aber nicht zwingend notwendige Bildauswertung uber- 
nimmt. Eine weitere Relation "verwendet" 11 fuhrt daher vom zweiten Computersystem 10 zum Bildauswertesystem 12. 
Im dem Notfalle, daB das erste Computersystem ausfallt, springt das zweite Computersystem, welches im Normalbetrieb 
to nur unkritische Aufgaben wahrnimmt als Reservesystem fur das erste Computersystem ein und ubernimmt dessen Auf- 
gaben. Somit ubernimmt es dann auch die Ansteuerung des LagekontroUsystems. Daher fuhrt wiederum eine weitere Re- 
lation "verwendet" 13 vom zweiten Computersystem 10 zum Lagekontrollsystem 2. Der Sachverhalt, daB das erste Com- 
putersystem 1 das Lagekontrollsystem 2 wahrend des Normalbetriebes und das zweite Computersystem 10 das Lagekon- 
trollsystem 2 wahrend des Notfalis ansteuert wird hier nun jeweils mittels einer Relationen-Relation modelliert. Eine er- 
15 ste Relationen Relation "wahrend" 14 fuhrt von der Relation "verwendet" 3 zu dem Datenobjekt "Normal" 15. Auf der 
anderen Seite fiihrt eine zweite Relationen Relation "wahrend" 16 von der Relation "verwendet" 13 zu dem Datenobiekt 
"NotfaU" 17. J 

Fig. 2 das semantische Netzwerk entsprechend Fig. 1 ohne die erfindungsgemaBen Relationen-Relationen. Will man 
die Informationen nach dem Sachverhalt aus Fig. 1 in einem Speicher hinterlegen, der seiner Struktur nach einem her- 
20 kommlichen semantischen Netz entspricht, so muB man das Lagekontrollsystem 2 mittels je einer "hat"-Relation 20, 21 
kunstlich aufteilen, indem man kunstlich ein Lagekontrollsystem fur den Normalbetrieb 18 und eines fur den Notbetrieb 
19 als Datenobjekt speichert und eine " verwendef-Relation 3 vom ersten Computersystem 1 auf das Lagekontrollsystem 
fur Normalbetrieb 18 und eine weitere "verwendet"-Relation 13 vom zweiten Computersystem 10 auf das Lagekontroll- 
system fur Notbetrieb 19 im Speicher vermerkt, obgleich es sich urn dasselbe Lagekontrollsystem 2 handelt. Diese kiinst- 
25 liche Aufsplittung ist erforderlich urn in dem nach den Strukturen eines herkommlichen semantischen Netzes aufgebau- 
ten Speicher alle relevanten Informationen, insbesondere die Information dariiber in welcher Phase, namlich Normalbe- 
trieb oder Notbetrieb, welches Computersystem, namlich das erste 1 oder das zweite 10 das Lagekontrollsystem 2 an- 
steuert. Es ist also notwendig das Lagekontrollsystem 2 in zwei Untersysteme fur jede relevante Phase 18, 19 aufzusplit- 
ten und zu diesem Zwecke zu duplizieren. Ebenso mussen naturlich auch die vom Lagekontrollsystem 2 verwendeten 
30 Subsysteme 22, 23 auch je einmal fur beide kunstlich geschaffenen Lagekontrollsysteme abgespeichert werden, somit 
auch deren evtL Sub-Subsysteme und so fort. Dies fiihrt zu einer enormen Speicherplatzaufblahung schon in einfachen 
Fallen, was in der Praxis zur Folge hat, das derartige Verhaltnisse, zumindest was komplexere Systemstrukturen anbe- 
langt nicht mehr implementierbar sind. Dies gilt nicht nur im Hinblick auf den Speicherplatzbedarf, sondern auch im 
Hinblick auf die Erstellung, Pflege und Uberblickbarkeit des im Einzelfall konkret verwendeten DatenmodeUs. 
35 Fig. 3 zeigt eine schematische Darstellung der Funktions weise des Verfahrens zur Ermittlung der mit einem Datenob- 
jekt direkt und indirekt verbundenen Relationen und Datenobjekte in einer Ausfuhrungsform in der keine Suchrestriktion 
vorgesehen ist. Daher sind hier alle Suchpfade entlang von Datenobjekten und Relationen mit einem dickeren Rand ver- 
sehen, was symbolisiert, daB sie alle besucht wurden. 

Fig. 4 zeigt eine schematische Darstellung der Funktions weise des Verfahrens zur Ermittlung der mit einem Datenob- 
40 jekt direkt und indirekt verbundenen Relationen und Datenobjekte in einer Ausfiihrungsform, in der eine Suchrestriktion 
wahrend der Tiefensuche in dem sematischen Netzwerk vorgesehen ist, die so ausgestaltet ist, daB Relationen die von 
Relationen ausgehen nicht weiter in der Tiefensuche verfolgt werden. Hier wurde somit die Suche iiber die Relationen- 
Relation "ist assoziiert mit" 24 hinweg nicht weiterverfolgt. Auch hier sind alle Suchpfade, die nach diesem Verfahren 
besucht wurden entlang von Datenobjekten und Relationen mit einem dickeren Rand versehen, im Gegensatz zu denen 
45 die nicht besucht wurden und einen diinneren Rand aufweisen. 

Fig. 5 zeigt eine schematische Darstellung der Funktionsweise des Verfahrens wie in Fig. 4 zur Ermitdung der mit ei- 
nem Datenobjekt direkt und indirekt verbundenen Relationen und Datenobjekte in einer Ausfuhrungsform, in der zusatz- 
lich eine Suchrestriktion wahrend der Tiefensuche in dem sematischen Netzwerk vorgesehen ist, die so ausgestaltet ist, 
daB Relationen die von Relationen ausgehen nicht weiter in der Tiefensuche verfolgt werden. Hier wurde daher die Su- 
50 che uber die Relationen-Relation "ist assoziiert mit" 24 und das Datenobjekt 25 hinweg die Suche nicht weiterverfolgt. 
Auch hier sind alle Suchpfade, die nach diesem Verfahren besucht wurden, entlang von Datenobjekten und Relationen 
mit einem dickeren Rand versehen, im Gegensatz zu denen die nicht besucht wurden und einen diinneren Rand aufwei- 
sen. 



Fig. 6 zeigt eine schematische Darstellung eines nach der vorliegenden Erfindung organisierten Speichers in Form ei- 
55 nes sematischen Netzes mit Relationen-Relationen zur Verwendung in einem technischen Sicherheitsanalysesystem. Die 
Datenobjekte sind hier ohne und die Relationen mit einer rechteckigen Umrandung dargestellt. 

Fig. 7 bis Fig. 21 zeigen schematische Darstellungen von nach der vorliegenden Erfindung organisierten Computer- 
systemen mit Speicher fur sematische Netze zur naheren Erlauterung der Verwendung der erfindungsgemaBen Compu- 
tersysteme und Verfahren zum Zwecke der Risikoanalyse von Versicherungsrisiken, insbesondere technischen Versiche- 
60 rungsrisiken, d. h. solchen Versicherungsrisiken, die sich aus der Versicherung technischer Anlagen, Maschinen, Cerate, 
Prozesse, Verfahrens wei sen etc. ergeben. 

Fur die Versicherung industrieller, insbesondere technischer Risiken erstellen Versicherer oder Makleruntemehmen 
umfangreiche Risikoanalysen zur Ermittlung der zu versichernden Risiken und der Versicherungspramien. Die Versiche- 
rung ist bestrebt, die Vcrsicherungsnehmer nach vergleichbaren Klassen zu gruppieren, urn die malhernatischen Gesetze 
65 der Wahrscheinlichkeitsrechnung anwenden zu kdnnen. Diese Klassifizierung gestaltet sich bei industriellen und insbe- 
sondere technischen Risiken besonders schwierig durch 
die fehlende Gleichartigkeit der Risiken, 
die fehlende Anzahl gleichartiger Risiken und 
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den unterschiedlichen Bec^^^r Unternehmen. ^B^' 

Risiko sei hier die Eintrittswahrscheinlichkeit eines Ereignisses multipliziert mit der Schwere der Auswirkungen. 
Die Risikoanalyse basiert auf zwei Mode lien, deni delerministischen Modell realisiert mit einern Objekl-Rclationen 
Modell und dem probabilistischen Modell, welches das Verfahren der Monte-Carlo Simulation auf dem deterministi- 
schen Modell ausfuhrt. 5 

Das deterministische Modell besteht aus Szenarien, die jeweils genau einen Ereignispfad beinhalten. Jeder Ereignis- 
pfad beginnt mit einein unabhangigen Startereignis. Das Startcreignis fiihrt genau zu einein Folgeereignis. Ein Folgecr- 
eignis kann wieder zu einem weiteren Folgeereignis fuhren usw. Das letzte Ereignis des Ereignispfades ist eine Konse- 
quenz (siehe Fig. 7). 

In der Objekthierarchie des deterministischen Modells gibt cs jeweils cine Klasse fur Startereignisse, Folgeereignisse 10 
und Konsequenzen. Konsequenzen werden im Szenario als Klassen benutzt. D.h., beim Aufbau des Modells werden zu- 
nachst alle Konsequenz-Klassen definiert. Konsequenz-Klassen konnten z. B. sein "Verlust von Menschenleben", 
"Schwere Verletzungen" "Produktionsstillstand" o. a. In den Szenarien wird immer eine Konsequenz- Klasse verwendet, 
d. h. alle Szenarien die zu dieser Konsequenz- Klasse fuhren, tragen zum Risiko dieser Konsequenz bei. Alle Szenarien, 
die zu einer Konsequenz fuhren werden auch als Konsequenz-Baum bezeichnet (siehe Fig. 8). 15 

Startereignisse und Folgeereignisse konnen auch in mehreren Szenarien verwendet werden (Verzweigungen). Dies 
fiihrt zu einer alternativen Darstellungen des Modells (siehe Fig. 9 und Fig. 10). 

Alle Ereignisse werden nun mit Komponenten aus der Systembeschreibung verbunden. Die Systembeschreibung ist 
ein unabhangiger Teil des deterministischen Modells, der die zu versichernde Sache oder den zu versichernden Sachver- 
halt abbildet. Das Objekt-Relationen Modell der Systembeschreibung besteht zunachst aus dem kompositorischen Auf- 20 
bau (siehe Fig. 11). 

Ein weiterer Bestandteil der Systembeschreibung ist der kompositorische Aufbau der Funktionen. Funktionen werden 
so definiert, daB sie spater den Systemelementen zugeordnet werden konnen. Die Hefe der Strukturierung sollte fur Sy- 
stemelemente und Funktionen kompatibel sein. Dies bedeutet ein Sub-Sub-Element eine entsprechende Sub- Sub-Funk- 
tion gegeniiberstehen (siehe Fig. 12). Die Objekte beider Teilmodelle werden jetzt mit einer hat_als_funktion"-Relation 25 
verbunden (siehe Fig. 13). Das Modell der Systembeschreibung kann um Angaben uber Zeit und Ort erganzt werden 
(siehe Fig. 14 und Fig. 15). Zeit bezieht sich hier auf einen bestimmten Zeitraum. Diese Angaben sind nur dann sinnvoll, 
wenn sie fur die Gliederung des Gesamtmodells bendtigt werden. 

Bei komplexen Anlagen und Produktionsprozessen konnen z. B. nur einzelne Produktionsphasen oder einzelne Pro- 
duktionsstatten untersucht werden. Bei der Auswertung des Modells konnte aber eine Fortpflanzung in die nachfolgende 30 
Produktionsphase, bzw. die Ausbreitung in benachbarte Produktionsstatten berticksichtigt werden. , 

Das deterministische Modell und das Modell der Systembeschreibung konnen iiber eine Zuordnung von Ereignissen 
zu einem Teilnetz bestehend aus Systemelement, Funktion, Zeitraum (optional) und Ort (optional) verbunden werden 
(siehe Fig. 16). 

Fur die Anwendung bei einer Versicherung wird diese Relation benutzt, um eine Risikoanalyse aus einer Systembe- 35 
schreibung zu generieren. Zu diesem Zweck werden alle verfugbaren Risikoanalysen aus der ^Vergangenheit in das hier 
beschriebene deterministische Modell und in die Systembeschreibung zerlegt und in einer Wissensbasis abgelegt. An- 
schlieBend kann fiir eine neue Risikoanalyse eine Systembeschreibung aus den bereits abgelegten Komponenten zusam- 
mengesetzt werden und mit dieser Systembeschreibung konnen die relevanten Ereignispfade aus der Wissensbasis her- 
ausgesucht werden. Bei diesem Suchvorgang konnen z. B. komplexe Zusammenhange wie physikalische Propagation 40 
(d. h. Ausbreitung eines Ereignisses von einem Ort zum Nachsten) oder funktionale Propagation (d. h. entlang funktio- 
naler Abhangigkeiten siehe Fig. 18) berticksichtigt werden. 

Fiir eine gezielte Abgrenzung von Versicherungsarten konnen der Systembeschreibung auch Gefahrenpotentiale zuge- 
ordnet werden (siehe Fig. 17). Fiir eine Feuerversicherung z. B. werden dann nur die Ereignispfade berticksichtigt, in de- 
nen Ereignisse vorkommen, deren Systemelemente das Gefahrenpotential Feuer in sich tragen. Umgekehrt gibt es auch 45 
die Moglichkeit alle Systemelemente mit einem Gefahrenpotential zu verbinden, die gegen die Freisetzung dieses Ge- 
fahrenpotentials empfindlich sind (in diesem Falle also brennbar). 

Fur eine gezielte Suche nach Ereignispfaden bei sehr komplexen Anlagenbeschreibungen ist es sinnvoll die System- 
elemente die man fur eine Teilanalyse zusammenfassen mochte in einem Gefahrenkomplex zusammenzufassen. Ein Ge- 
fahrenkomplex kann eine Beliebige Auswahl von Systemelementen enthalten (Fig. 19), er kann aber auch alle System- 50 
elemente einer Zeitphase oder eines Ortes zusammenfassen. Alle Ereignispfade werden jeweils als Szenario zusammen- 
gefaBt und jeweils einem Gefahrenkomplex zugeordnet (siehe Fig. 20). Somit ergibt sich ehe Strukturierung in der Sy- 
stembeschreibung und im deterministischen Modell. 

Auf dem deterministischen Modell kann nun eine probabilistische Risikoanalyse durchgefuhrt werden. Im Rahmen 
der Risikoanalyse wird die Eintrittswahrscheinlichkeit jedes Ereignisses geschatzt oder durch statistische \ferf ahren er- 55 
mittelt. Es konnen auch statistische Verteilungsfunktionen definiert werden. Fiir die Berechnung des Gesamtrisikos wer- 
den zunachst die Szenarien die jeweils zu einer Konsequenz-Klasse gehoren ausgefiltert. Szenarien mit verschiedenen 
Konsequenzen diirfen auf keinen Fall gemischt werden, da ein Szenario daB zu der Konsequenz "\ferlust von Menschen- 
leben" fuhrt andere Versicherungstechnische Folgen hat, als ein Szenario, daB zu der Konsequenz "Vernichtung von 
Sachwerten" fuhrt. 60 

Zusatzlich besteht auch die Moglichkeit nur die Szenarien bestimmter Gefahrenkomplexe zu untersuchen, z. B. eines 
bestimmten Ortes (z. B. eine bestimmte Werkhalle). 

Fiir die Berechnung des Risikos wird eine Monte-Carlo Simulation auf das Modell der Ereignispfade angewendet. Da- 
bei werden die Eintrittswahrscheinlichkeiten entlang der Ereignispfade multipliziert. Dieses Produkt ergibt die Eintritts- 
wahrscheinlichkeit des Szenarios. Die Eintrittswahrscheinlichkeiten aller Szenarien werden anschlieBend addiert. Dies 65 
ergibt die Gesamteintrittswahrscheinlichkeit der gewahlten Konsequenz. Die Ergebnisse dieser Berechnungen konnen 
im deterministischen Modell gespeichert werden und fuhren zu einem Ranking. Es konnen sowohl die Ereignisse, als 
auch Szenarien, als auch die Gefahrenkomplexe sortiert werden. Je nach mathematischen Verfahren kann neben der Ein- 
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tnttswahrscheinlichkeit a JB Subjektivitat und die ^gewiB^ 

steht die Moglichkeit fur Szenarien oder «^e„kornple« ^^^^^S^ konnlcn auch di- 
dennicren (bei Feuer z. B. cine Spnnklcranlagc ^^SSg^.,^ eingebaut, kommt als zusatzli- 
rekt in die Ereignispfade eingearbeitet werden Wkd zum Beispiel l exne ^^"JJteiaietoLli^ der Ereignisse ei- 
5 ches Ereignis der Ausfall/das Versagen der ^V^^^^^^^^^S^&M^ (Szenario) zu 
nes Ereignispfades stets multipliziert werden, urn ^^K2SS2^«S^cl^ von 0.0001 pro Jahr 
bercchnen ergibt rich z. B. be, einem ^T^^^^S^SS^S. der Sprinkleranlage eine Gesamt- 

10 den in 500 000 Jahren slatt ein Schaden in 50 Jahren ohne Sprinkleranlage. 

Patentanspriiche 

1. Coxnputersystem nut mindestens einem Speicher, der zumindest teilweise nach Art eines semantischen Netzes 
15 organisiert ist, wobei er Speicherplatze aufweist fur 

Datenobjekte (1, 7-10, 12, 18, 19, 15) und mindestens ieweils die Information ex- 

19 15) die Relation (3-6, 11, 13, 20, 21) besteht, 
20 £5iSS3252 f^weitere Relationen, welehe Reladonen-Relanonen (14, 16, 24) genannt werden, vor- 

j^Sone^-Rllltionen (14, 16, 24) mindestens jeweils die Information explizit oder auch implizit vorhanden ist, 

tenobjekten bestehen konnen. . . . . t h*r i^tt Nation f3-6 11 13 20, 21) oder Relatio- 

das Datenobjekt in einer ^atenobjek ^^ ^^ Eekennzeichne t, daB je Relation bzw. Relationen-Rela- 
L U/17 1AH IS 1Q i^direktundindirektverbundenenRelaUonen(3-f>, 11, -fiu, ^x, x*t, i AU '; ,/ul . 

nicht mit in die Suche einbezogen werde^ _ rDurchfBtalng auf ei nem Computersystem nach Anspruch 4, da- 
Datenobjekt (1 . 7-10, 12, 18, 19, 15)) zu einem Element einer Zielmenge (Relanon (3-6, 11 , 13, 20, 21, 14, 16, 
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24) oder 12, 18, 19, 15)) fiihren, wobei als EinschrankurifB^die Relationen ab einer be- 

stimmten Position in der Relationenhierarchie berucksichtigt werden und die Ursprungsmenge bzw. die Zielmenge 
dabci enlwcdcr 
ein einzelnes Datenobjekt, oder 

eine einzelne Relation, oder 5 
alle Datenobjekte ab einer bestimmten Position in der Datenobjekthierarchie, oder 
alle Relationen ab einer bcstiinintcn Position in der Relationenhierarchie, oder 
alle Datenobjekte und Relationen des sematischen Netzes, oder 

eine rekursive Spezifikation einer Menge von Relationen, die sich durch Anwendung des hier verwendeten \ferfah- 
rens ergibt 10 
als Elernente enthalten kann. 

13. Verwendung eines Verfahrens nach Anspruch 6 zur Durchfuhrung auf einem Computersystem nach Anspruch 1 
zur Sicherheitsanalyse technischer Systeme, vorzugsweise der Gefahrenanalyse, Fehlermoglichkeits-, Fehleraus- 
wirkungs- und Fehlerrelevanzanalyse in den technischen Systernen, vorzugsweise etwa Raktensystemen, chemi- 
schen Anlagen, Flugzeugen und dergleichen. 15 

14. Verwendung eines Verfahrens nach Anspruch 12 zur Durchfuhrung auf einem Computersystem nach Anspruch 
5 zur Sicherheitsanalyse technischer Systeme, vorzugsweise der Gefahrenanalyse, Fehlermoglichkeits-, Fehleraus- 
wirkungs- und Fehierrelevanzanalyse in den technischen Systernen, vorzugsweise etwa Raketensystemen, chemi- 
schen Anlagen, Flugzeugen und dergleichen. 

15. Verwendung eines Verfahrens nach Anspruch 6 zur Durchfuhrung auf einem Computersystem nach Anspruch 1 20 
zur Risikoanalyse von, vorzugsweise technischen, Versicherungsrisiken. 

16. Verwendung eines Verfahrens nach Anspruch 12 zur Durchfuhrung auf einem Computersystem nach Anspruch 
5 zur Risikoanalyse von, vorzugsweise technischen, Versicherungsrisiken. 

17. Verwendung eines Verfahrens nach Anspruch 6 zur Durchfuhrung auf einem Computersystem nach Anspruch 1 

zur Analyse von Geschaftsprozessen. 25 

18. Verwendung eines Verfahrens nach Anspruch 12 zur Durchfuhrung auf einem Computersystem nach Anspruch 
5 zur Analyse von Geschaftsprozessen. 
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